Host protection settings Proactive defense Webshell detection and removal Adaptive threat detection - Security Center

Security Center ofrece capacidades de seguridad como la defensa contra comportamientos maliciosos en el host, la protección antiransomware (captura mediante señuelos) y la defensa contra conexiones de webshells. En este tema se describen las funciones de protección de host, las restricciones por edición y los métodos de configuración.

Defensa proactiva

Security Center intercepta automáticamente virus comunes, conexiones de red maliciosas y conexiones de webshells. Además, despliega archivos señuelo para capturar ransomware. A continuación se describe cada subfunción.

Malicious Host Behavior Prevention

Ediciones compatibles: Anti-virus, Advanced Edition, Enterprise y Ultimate
Descripción general: Intercepta y elimina automáticamente virus de red comunes, como ransomware, troyanos DDoS, programas de minería, programas maliciosos, puertas traseras y gusanos. Esta función se habilita de forma predeterminada después de comprar Security Center, y todos los servidores se incluyen automáticamente en el alcance de detección.
Nota
- Los virus de tipo infección insertan código malicioso en archivos de programas normales. Cuando se infecta una gran cantidad de programas normales, estos se detectan como hosts. Este tipo de virus puede poner en riesgo los procesos del sistema, y finalizar dichos procesos podría afectar la estabilidad del sistema. Por esta razón, Security Center no pone en cuarentena automáticamente los virus de tipo infección; debe gestionarlos de forma manual.
- Para crear reglas de defensa distintas contra comportamientos maliciosos del host según el servidor, utilice la función custom rules.
Diferencias entre ediciones:
- Anti-virus y Advanced Edition: Bloquean automáticamente virus comunes, como ransomware y programas de minería.
- Enterprise y Ultimate: Pueden interceptar eventos de intrusión a gran escala con base en escenarios de ataque populares del framework ATT&CK y aplicaciones de servicio comunes. También bloquean el comportamiento de cifrado del ransomware y admiten reglas de defensa personalizadas. Para obtener más información, consulte Host rule management.

Anti-Ransomware (Bait Capture)

Ediciones compatibles: Anti-virus, Advanced Edition, Enterprise y Ultimate
Descripción general: Despliega archivos señuelo en los servidores para capturar nuevos tipos de ransomware y activa defensas automáticamente con base en el análisis del comportamiento del virus. Los archivos señuelo se usan únicamente para la detección y no afectan las operaciones normales de su negocio.
Ubicaciones de los archivos señuelo: Después de habilitar la función Anti-ransomware (bait capture), Security Center crea carpetas señuelo ocultas en sus servidores. Las rutas comunes incluyen la carpeta !aegis (ubicada en el directorio raíz de cada unidad o en directorios clave) y /root/.aegis/!~readme.txt. Estos archivos y carpetas se utilizan solo para detectar ransomware y no afectan las operaciones normales del negocio.
Comportamiento al deshabilitar: Si deshabilita la función Anti-ransomware (bait capture), las carpetas señuelo ya creadas (como !aegis) no se eliminan automáticamente. Puede eliminar estas carpetas de forma manual, pero se recomienda conservarlas para mantener las capacidades de detección de ransomware.
Recomendación: Antes de deshabilitar la función Anti-ransomware (bait capture) o de eliminar manualmente los archivos señuelo, se recomienda crear una instantánea del disco como copia de seguridad.

Webshell Connection Prevention

Ediciones compatibles: Enterprise y Ultimate
Descripción general:
- Intercepta automáticamente las conexiones anómalas que inician los atacantes mediante webshells conocidos y pone en cuarentena los archivos relacionados de forma automática.
- Se habilita de forma predeterminada después de adquirir la edición Enterprise o Ultimate. Todos los servidores se incluyen automáticamente en el alcance de detección.

Malicious Network Behavior Prevention

Ediciones compatibles: Enterprise y Ultimate
Descripción general: Intercepta las comunicaciones de red entre sus servidores y fuentes maliciosas conocidas para reforzar la protección de seguridad de los servidores.

User Experience Optimization in Proactive Defense

Ediciones compatibles: Anti-virus, Advanced Edition, Enterprise y Ultimate
Descripción general: Cuando un servidor se apaga de forma inesperada o faltan capacidades de defensa de seguridad, recopila automáticamente datos de Kdump para analizarlos. Esto permite mejorar continuamente las capacidades de defensa de Security Center.

Habilitar las capacidades de defensa

Nota

Si todas las funciones de la sección Proactive Defense están deshabilitadas, los virus detectados se muestran como alertas de seguridad que requieren gestión manual en la consola. Se recomienda habilitar todas las funciones de la sección Proactive Defense para reforzar la seguridad de sus servidores. Para obtener más información sobre cómo gestionar las alertas de seguridad, consulte Evaluate and handle security alerts.

Acceda a la consola de Security Center - System Settings - Feature Settings. En la esquina superior izquierda de la página, seleccione la región de sus activos: Chinese Mainland o Outside Chinese Mainland. Seleccione la pestaña System Configuration > Host Protection Settings. En la sección Proactive Defense, active los interruptores de Malicious Host Behavior Prevention, Anti-Ransomware (Bait Capture), Webshell Connection Prevention y Malicious Network Behavior Prevention.
Haga clic en Management a la derecha de un tipo de defensa proactiva, seleccione el alcance de servidores donde aplicará la intercepción de virus o comportamientos maliciosos y luego haga clic en OK.
(Opcional) Seleccione la casilla User Experience Optimization in Proactive Defense. Habilitar la optimización de la experiencia de defensa proactiva ayuda a que Security Center obtenga datos de protección cuando los servidores presentan excepciones, lo cual mejora las capacidades de seguridad. Se recomienda seleccionar esta opción.

Consultar y gestionar alertas de defensa

Consultar alertas

En la página Detection and Response > Alert o Agentic SOC > Alert, establezca la condición de búsqueda en Handled y el tipo de alerta en Precise Defense o Proactive Defense for Containers. Luego podrá consultar los virus interceptados automáticamente por la función de defensa proactiva en la pestaña CWPP.
Sugerencias de gestión

Después de habilitar las funciones de defensa contra comportamientos maliciosos del host, protección antiransomware (captura mediante señuelos) y defensa contra conexiones de webshells de la defensa proactiva, algunos programas podrían reportarse de manera errónea o no ponerse en cuarentena. Para obtener más información sobre cómo resolver estos problemas, consulte Evaluate and handle security alerts.
- Si un archivo se puso en cuarentena debido a un falso positivo, puede restaurarlo desde la lista de cuarentena.
- Para los eventos que no se pudieron poner en cuarentena, puede hacerlo manualmente en la pestaña CWPP de Detection and Response > Alert o Agentic SOC > Alert.

Detección y eliminación de webshells

Security Center utiliza su motor de detección propietario para identificar webshells y programas troyanos en servidores web y directorios web. Combina la detección estática periódica con la detección dinámica y ofrece una cuarentena manual con un solo clic. El agente de Security Center ejecuta la detección de webshells únicamente después de habilitar esta función en el servidor.

Ediciones compatibles: La edición gratuita admite la detección de solo algunos tipos de webshells. Las demás ediciones de pago admiten la detección de todos los tipos.

Nota
Para una detección de webshells más completa, se recomienda upgrade a la edición Anti-virus, Advanced Edition, Enterprise o Ultimate.
Descripción de la función:
- Ejecuta un escaneo estático completo de los directorios web diariamente y activa escaneos dinámicos de forma automática cuando cambian los archivos de dichos directorios.
- Permite configurar el alcance de activos para la detección de webshells.
- Permite poner en cuarentena, restaurar e ignorar los archivos de webshell detectados.

Deshabilitar la detección y eliminación de webshells

Security Center habilita la detección y eliminación de webshells de forma predeterminada en todos los servidores con el agente instalado. Se recomienda mantener esta detección habilitada en todos los servidores que ofrezcan servicios web públicos. Si un servidor se encuentra en una red interna completamente aislada, siga estos pasos para deshabilitar la detección y eliminación de webshells.

Acceda a la consola de Security Center - System Settings - Feature Settings. En la esquina superior izquierda de la página, seleccione la región de sus activos: Chinese Mainland o Outside Chinese Mainland.
Seleccione la pestaña System Configuration > Host Protection Settings. En la sección Webshell Detection and Removal, haga clic en Management.
En el panel Configure Servers for Webshell Detection and Removal, desmarque las casillas de los servidores donde desea deshabilitar la detección y eliminación de webshells, y luego haga clic en OK.

Consultar y gestionar alertas de webshells

Consultar alertas

En la página Detection and Response > Alert o Agentic SOC > Alert, establezca el tipo de alerta en la condición de búsqueda como Webshell. En la pestaña CWPP, podrá consultar las alertas de webshells correspondientes en la lista de alertas.
Sugerencias de gestión

Las alertas de webshells sin gestionar pueden representar amenazas graves para la seguridad de los activos. Para obtener más información sobre cómo atenderlas oportunamente, consulte Evaluate and handle security alerts. Los métodos de gestión varían según la edición del usuario:
- Usuarios de la edición gratuita: No se admite la función de gestión con un solo clic. Primero debe upgrade a una edición de pago.
- Edición Anti-virus y superiores: Admiten poner en cuarentena con un solo clic los archivos de webshell detectados desde la consola.

Detección adaptativa de amenazas

La detección adaptativa de amenazas está deshabilitada de forma predeterminada y debe habilitarse manualmente. Una vez habilitada, el sistema ejecuta las siguientes acciones:

Activa automáticamente el modo estricto: Cuando el sistema detecta que un servidor presenta problemas de alto riesgo (es decir, genera alertas de gravedad alta), habilita automáticamente el "Strict Alert Mode" para ese servidor durante siete días.
Mecanismo de protección integral: En el modo estricto, se activan todas las reglas y motores de seguridad para generar alertas ante cualquier comportamiento de intrusión sospechoso o amenaza potencial. De esta manera, se capturan rastros de intrusión de forma más completa.
Persistencia del modo: Si modifica manualmente el modo de protección de un servidor dentro del periodo de validez de siete días, el sistema ya no deshabilitará automáticamente el modo estricto al vencer dicho plazo, sino que conservará el estado de protección configurado manualmente.

Restricciones por edición

Solo las siguientes ediciones admiten la detección adaptativa de amenazas:

Suscripción: Enterprise o Ultimate (si su edición actual no admite esta función, upgrade).

Nota
La edición de protección del servidor debe coincidir con la edición adquirida. Para obtener más información, consulte Bind a server protection edition.
Pay-as-you-go: Debe estar activado el modelo pay-as-you-go de Host and Container Security (si no lo ha activado, purchase).

Nota
El nivel de protección del servidor debe establecerse en Comprehensive Host Protection o Full Protection for Hosts and Containers. Para obtener más información, consulte Bind a server protection level.

Habilitar la detección adaptativa de amenazas

Acceda a la consola de Security Center - System Settings - Feature Settings. En la esquina superior izquierda de la página, seleccione la región de sus activos: Chinese Mainland o Outside Chinese Mainland.
Seleccione la pestaña System Configuration > Host Protection Settings. En la sección Adaptive Threat Detection Capability, active el interruptor correspondiente.
Autorización inicial: Si habilita esta función por primera vez y aún no ha otorgado autorización a Security Center, la página le solicitará completar el proceso.
- Una vez completada la autorización, Resource Access Management (RAM) crea automáticamente un rol vinculado al servicio.
- Security Center utiliza este rol para acceder a recursos de otros servicios en la nube y brindar protección de seguridad. Para obtener más información, consulte Service-linked roles.

Configuración de alertas

Comparación de modos de alerta

Security Center ofrece varios modos de alerta para cubrir los requisitos de seguridad de distintos escenarios de negocio. De forma predeterminada, el modo equilibrado está habilitado para todos los servidores conectados.

Elemento de comparación	Modo equilibrado (predeterminado)	Modo estricto
Funciones	Baja tasa de falsos positivos: Optimizado mediante pruebas exhaustivas realizadas por expertos de Alibaba Cloud. Alta tasa de detección: Detecta la mayor cantidad posible de riesgos sospechosos y mantiene un número reducido de falsos positivos. Equilibrio adecuado: Balancea la seguridad con la estabilidad del negocio.	Alta sensibilidad: Reglas de detección más rigurosas que abarcan más comportamientos sospechosos. Alta tasa de detección: Permite descubrir más amenazas potenciales ocultas o sutiles. Riesgo de falsos positivos: Podría identificar comportamientos normales del negocio como anomalías.
Escenarios recomendados	Monitoreo operativo diario. Escenarios con altos requisitos de continuidad del negocio. La mayoría de los casos de protección habitual de servidores.	Periodos de protección críticos (como eventos importantes o seguridad en días festivos). Fase de investigación intensiva posterior a un ataque. Activos críticos muy sensibles a la seguridad que toleran cierta cantidad de falsos positivos.

Cambiar el modo de alerta de los servidores

Acceda a la consola de Security Center - System Settings - Feature Settings. En la esquina superior izquierda de la página, seleccione la región de sus activos: Chinese Mainland o Outside Chinese Mainland.
Seleccione la pestaña System Configuration > Host Protection Settings. En la sección Alert Settings, haga clic en Management a la derecha de Strict Mode.
Realice una de las siguientes operaciones según sus necesidades de negocio y luego haga clic en OK.
- Cambiar al modo estricto: Seleccione los servidores de destino donde desea habilitar Strict Mode.
- Volver al modo equilibrado: Desmarque las casillas de los servidores que ya se encuentran en Strict Mode.